Gerente Certificado de Seguridad de la Información (CISM - Certified Information Security Manager)

Dominio 1—Gobernanza de la Seguridad de la Información (24%)

Establecer y mantener un marco de gobernanza de la seguridad de la información y sus procesos de soporte para garantizar que la estrategia de seguridad de la información esté alineada con los objetivos de la organización, que el riesgo de la información se gestione adecuadamente y que los recursos del programa se gestionen de forma responsable.

• 1.1 Establecer y mantener una estrategia de seguridad de la información alineada con los objetivos y metas de la organización para guiar el establecimiento y la gestión continua del programa de seguridad de la información.
• 1.2 Establecer y mantener un marco de gobernanza de la seguridad de la información para guiar las actividades que apoyan la estrategia de seguridad de la información.
• 1.3 Integrar la gobernanza de la seguridad de la información en la gobernanza corporativa para asegurar que los objetivos y metas de la organización sean respaldados por el programa de seguridad de la información.
• 1.4 Establecer y mantener políticas de seguridad de la información para comunicar las directrices de la dirección y guiar el desarrollo de estándares, procedimientos y lineamientos.
• 1.5 Desarrollar estudios de viabilidad económica (business cases) para respaldar las inversiones en seguridad de la información.
• 1.6 Identificar influencias internas y externas a la organización (por ejemplo, tecnología, entorno comercial, tolerancia al riesgo, ubicación geográfica, requisitos legales y regulatorios) para asegurar que estos factores sean abordados por la estrategia de seguridad de la información.
• 1.7 Obtener el compromiso de la alta dirección y el apoyo de otras partes interesadas para maximizar la probabilidad de una implementación exitosa de la estrategia de seguridad de la información.
• 1.8 Definir y comunicar los roles y responsabilidades de la seguridad de la información en toda la organización para establecer responsabilidades claras y líneas de autoridad.
• 1.9 Establecer, monitorear, evaluar e informar métricas (por ejemplo, indicadores clave de objetivos [KGI], indicadores clave de desempeño [KPI], indicadores clave de riesgo [KRI]) para proporcionar a la dirección información precisa sobre la efectividad de la estrategia de seguridad de la información.

Dominio 2—Gestión de Riesgos y Cumplimiento Normativo de la Información (33%)

Gestionar el riesgo de la información hasta un nivel aceptable para cumplir con los requisitos comerciales y de cumplimiento normativo de la organización.

• 2.1 Establecer y mantener un proceso de identificación y clasificación de activos de información para asegurar que las medidas adoptadas para proteger los activos sean proporcionales a su valor comercial.
• 2.2 Identificar requisitos legales, regulatorios, organizacionales y otros aplicables para gestionar el riesgo de incumplimiento a niveles aceptables.
• 2.3 Asegurar que las evaluaciones de riesgos, evaluaciones de vulnerabilidades y análisis de amenazas se realicen periódicamente y de manera consistente para identificar riesgos para la información de la organización.
• 2.4 Determinar e implementar opciones de tratamiento de riesgos apropiadas para gestionar los riesgos a niveles aceptables.
• 2.5 Evaluar los controles de seguridad de la información para determinar si son apropiados y mitigan efectivamente el riesgo a un nivel aceptable.
• 2.6 Integrar la gestión de riesgos de la información en los procesos de negocio y TI (por ejemplo, desarrollo, adquisición, gestión de proyectos, fusiones y adquisiciones) para promover un proceso de gestión de riesgos de la información consistente y integral en toda la organización.
• 2.7 Monitorear los riesgos existentes para asegurar que los cambios sean identificados y gestionados adecuadamente.
• 2.8 Informar sobre el incumplimiento y otros cambios en el riesgo de la información a la dirección correspondiente para asistir en el proceso de toma de decisiones de gestión de riesgos.

Dominio 3—Desarrollo y Gestión del Programa de Seguridad de la Información (25%)

Establecer y gestionar el programa de seguridad de la información alineado con la estrategia de seguridad de la información.

• 3.1 Establecer y mantener el programa de seguridad de la información alineado con la estrategia de seguridad de la información.
• 3.2 Asegurar la alineación entre el programa de seguridad de la información y otras funciones de negocio (por ejemplo, recursos humanos [RRHH], contabilidad, adquisiciones y TI) para apoyar la integración con los procesos de negocio.
• 3.3 Identificar, adquirir, gestionar y definir los requisitos para los recursos internos y externos necesarios para ejecutar el programa de seguridad de la información.
• 3.4 Establecer y mantener arquitecturas de seguridad de la información (personas, procesos, tecnología) para ejecutar el programa de seguridad de la información.
• 3.5 Establecer, comunicar y mantener estándares, procedimientos, lineamientos y otra documentación organizacional de seguridad de la información para apoyar y guiar el cumplimiento de las políticas de seguridad de la información.
• 3.6 Establecer y mantener un programa de concienciación y formación en seguridad de la información para promover un entorno seguro y una cultura de seguridad efectiva.
• 3.7 Integrar los requisitos de seguridad de la información en los procesos organizacionales (por ejemplo, control de cambios, fusiones y adquisiciones, desarrollo, continuidad del negocio, recuperación de desastres) para mantener la línea base de seguridad de la organización.
• 3.8 Integrar los requisitos de seguridad de la información en los contratos y actividades de terceros (por ejemplo, joint ventures, proveedores externalizados, socios comerciales, clientes) para mantener la línea base de seguridad de la organización.
• 3.9 Establecer, monitorear e informar periódicamente métricas de gestión del programa y operativas para evaluar la efectividad y eficiencia del programa de seguridad de la información.

Dominio 4—Gestión de Incidentes de Seguridad de la Información (18%)

Planificar, establecer y gestionar la capacidad para detectar, investigar, responder y recuperarse de incidentes de seguridad de la información para minimizar el impacto en el negocio.

• 4.1 Establecer y mantener un proceso de clasificación y categorización de incidentes de seguridad de la información para permitir una identificación y respuesta precisas ante los incidentes.
• 4.2 Establecer, mantener y alinear el plan de respuesta a incidentes con el plan de continuidad del negocio y el plan de recuperación ante desastres para asegurar una respuesta efectiva y oportuna a los incidentes de seguridad de la información.
• 4.3 Desarrollar e implementar procesos para asegurar la identificación oportuna de los incidentes de seguridad de la información.
• 4.4 Establecer y mantener procesos para investigar y documentar los incidentes de seguridad de la información, pudiendo responder adecuadamente y determinar sus causas, cumpliendo con los requisitos legales, regulatorios y organizacionales.
• 4.5 Establecer y mantener procesos de gestión de incidentes para asegurar que las partes interesadas apropiadas estén involucradas en la gestión de la respuesta a incidentes.
• 4.6 Organizar, formar y equipar a los equipos para responder de manera efectiva y oportuna a los incidentes de seguridad de la información.
• 4.7 Probar y revisar periódicamente los planes de gestión de incidentes para asegurar una respuesta efectiva a los incidentes de seguridad de la información y mejorar las capacidades de respuesta.
• 4.8 Establecer y mantener planes y procesos de comunicación para gestionar la comunicación con entidades internas y externas.
• 4.9 Realizar revisiones post-incidente para determinar la causa raíz de los incidentes de seguridad de la información, desarrollar acciones correctivas, reevaluar los riesgos, evaluar la efectividad de la respuesta y tomar las acciones correctivas apropiadas.
• 4.10 Establecer y mantener la integración entre el plan de respuesta a incidentes, el plan de recuperación ante desastres y el plan de continuidad del negocio.